DJZ - april 2021

Algemene juridische kaders voor activiteiten van de krijgsmacht in de informatieomgeving
Deze juridische kaders geven een algemeen overzicht van de meest relevante juridische bepalingen die
van toepassing zijn op operationele activiteiten in de informatieomgeving. Deze juridische kaders zijn
algemeen van aard en bieden geen antwoord op alle specifieke casuïstiek en zijn dan ook geen
vervanging voor juridisch advies. Het is daarom noodzakelijk altijd het advies van de (militair) juridisch
adviseur in te winnen bij de planning van dit soort activiteiten. Deze juridische kaders hebben geen
betrekking op taken die de MIVD uitvoert op grond van de WIV of op taken die de KMar uitvoert op
grond van de Politiewet. Voor die taken bestaat een specifieke wettelijke grondslag en bijbehorende
wettelijke bevoegdheden.
A. ALGEMEEN KADER
Grondwettelijke doelbeschrijving van de krijgsmacht
Artikel 97 van de Grondwet beschrijft de doelen van de krijgsmacht. Deze doelbeschrijving is
beleidsmatig vertaald naar de drie hoofdtaken van de krijgsmacht.
De regering heeft het oppergezag over de krijgsmacht. Dit betekent dat de grondwettelijke
doelbeschrijving van de krijgsmacht geen zelfstandig werkende opdrachten zijn of bevoegdheden
creëren voor de krijgsmacht. Het is altijd de regering die bepaalt of, en zo ja hoe en waarvoor, de
krijgsmacht wordt ingezet. De politieke opdrachten worden vervolgens ‘vertaald’ in militaire opdrachten
en taken die in de commandantenlijn worden uitgevaardigd. Militaire opdrachten of taken zijn dus altijd
afhankelijk van, en volgend op, een besluit van de regering (c.q. de minister van Defensie namens de
regering).
Bevoegdheden voor de uitvoering van de opgedragen taak
In een democratische rechtsstaat zoals Nederland, mag de overheid niet ingrijpen in de rechten en
vrijheden van burgers zonder dat daarvoor een bevoegdheid bestaat die democratisch gelegitimeerd is.
Dat betekent dat al het overheidsoptreden dat bindend is voor burgers, overheidsoptreden dat middels
regelgeving of feitelijk dwingend is, alsmede overheidsoptreden dat ingrijpt in de (grond)rechten en
vrijheden van burgers dient te berusten op een wettelijke grondslag. Dit vloeit voort uit het
legaliteitsbeginsel, de grondwet en mensenrechtenverdragen. Inbreuk op internationaalrechtelijke
verplichtingen is alleen toegestaan als daar een internationaalrechtelijke grondslag voor is.
Activiteiten van de krijgsmacht die een inbreuk maken op internationaalrechtelijke verplichtingen,
dwang uitoefenen op burgers of inbreuk maken op hun rechten en vrijheden mogen dan ook alleen
uitgevoerd worden als daarvoor een internationaalrechtelijke en/of nationale wettelijke grondslag
bestaat. Het is daarbij niet van belang wat voor soort activiteit het betreft of hoe het genoemd wordt
(inzet, operatie, civiele missie, oefening, training, gereedstelling, vredesbedrijfsvoering). De
bevoegdheden voor een specifieke activiteit zijn afhankelijk van de grondslag voor die activiteit en of die
activiteit buiten het Koninkrijk (internationaal) of binnen het Koninkrijk (nationaal) plaatsvindt.
Bij internationale inzet worden bevoegdheden gebaseerd op de internationaalrechtelijke grondslag voor
de inzet, binnen de grenzen van mensenrechten en andere toepasselijke internationaalrechtelijke
verplichtingen:
1. Bij inzet op grond van uitoefening van het statelijke recht op (collectieve) zelfverdediging, worden de
bevoegdheden bepaald door de reikwijdte van het statelijke recht op zelfverdediging en het
humanitair oorlogsrecht;
2. Bij inzet op grond van een mandaat van de VN-Veiligheidsraad, worden de bevoegdheden bepaald
door de autorisaties die de VN-Veiligheidsraad geeft;
3. Bij inzet op grond van de instemming van een gastland, worden de bevoegdheden bepaald door de
reikwijdte van de instemming van dat gastland.

Pagina 1 van 8

DJZ - april 2021
Bij nationale inzet op basis van bijstand of Militaire Steunverlening in het Openbaar Belang (MSOB)
wordt de krijgsmacht ingezet onder aansturing en verantwoordelijkheid van civiel gezag, zoals de officier
van justitie of de burgemeester. De krijgsmacht oefent daarbij taken en bevoegdheden uit van het
ondersteunde civiele gezag. De krijgsmacht heeft daarbij geen eigen bevoegdheden.
Structurele (nationale) taken
Naast inzet specifieke taken heeft Defensie enkele structurele taken. Deze structurele taken zijn
vastgelegd in wet- en regelgeving, of in geval van structurele ondersteuning van civiel gezag in
convenanten of arrangementen. Eventuele bevoegdheden voor het uitvoeren van deze structurele
taken zijn vastgelegd in wet- en regelgeving.
Een voorbeeld is de Rijkswet geweldgebruik bewakers militaire objecten die bepaalde
geweldsbevoegdheden geeft in de uitoefening van de wettelijke bewakings- en beveiligingstaak.
Buiten de hierboven genoemde grondslagen voor inzet en daarop gebaseerde bevoegdheden bestaan er
geen algemene wettelijke bevoegdheden voor de (inzet van de) krijgsmacht.
Inzet zonder specifieke juridische grondslag
Buiten de gebruikelijke internationale of nationale inzet van de krijgsmacht, die plaatsvindt op grond
van een specifieke juridische grondslag, mag de regering de krijgsmacht ook inzetten voor andere
operationele taken, zolang de inzet maar past binnen de grondwettelijke doelbeschrijving van de
krijgsmacht en voldoet aan een aantal andere voorwaarden. Dit betreft dan inzet op grond van een
regeringsbesluit, onder verantwoordelijkheid van de Minister van Defensie, en onder aansturing van de
CDS.
Te denken valt aan inzet van inlichtingenmiddelen van eenheden zoals PED, DCC, SOCOM en JISTARC
zonder dat daar een specifieke juridische grondslag voor is, of bijvoorbeeld de SNMG. Aangezien dit
inzet van de krijgsmacht betreft, is hiervoor een regeringsbesluit nodig.
Omdat voor dit soort inzet geen specifieke juridische grondslag bestaat, kunnen daar ook geen
bevoegdheden aan ontleend worden. De Nederlandse wet- en regelgeving biedt ook nergens anders
bevoegdheden voor de krijgsmacht voor dergelijke taken.
Een dergelijke inzet kan dan ook alleen uitgevoerd worden als daarbij gebruik gemaakt wordt van
activiteiten die geen wettelijke bevoegdheid vereisen en waarbij geen (inter)nationaal recht geschonden
wordt.
Vrede, gewapend conflict en doorlopende spanningen
Door toenemende geopolitieke spanningen, zowel interstatelijk als tussen staten en niet-statelijke
actoren, is de algemene dreiging tegen Nederlandse belangen toegenomen. Het toepassen van
zogenaamde hybride tactieken door andere actoren en de competitieve, soms agressieve, aard van de
verhoudingen, maakt dat de politieke en maatschappelijke beleving van het verschil tussen vrede en
oorlog verandert. In plaats van een duidelijke scheiding tussen de twee contexten, wordt eerder een
doorlopende spanning ervaren en een “grijs gebied” gezien tussen de twee contexten in. Het is bij deze
ontwikkeling echter van belang om steeds voor ogen te houden dat het internationaal recht geen “grijs
gebied” kent en uitgaat van een strikte scheiding tussen vrede en gewapend conflict.
Dat betekent dat dit soort dreigingen tegengegaan moet worden in overeenstemming met het
toepasselijke recht en met gebruikmaking van juridisch verantwoorde middelen, mogelijkheden en
faciliteiten. Het optreden tegen en weerstand bieden aan dit soort dreigingen is bovendien veelal al
elders belegd binnen de rijksoverheid (politie, NCSC, (M/A)IVD, BZK, NCTV).

Pagina 2 van 8

DJZ - april 2021
B. BEVOEGDHEDENKADER
Om te kunnen beoordelen van welke bevoegdheden gebruik gemaakt kan worden, moet eerst naar de
grondslag voor de specifieke activiteit/inzet gekeken worden. Dit is niet anders dan bij reguliere inzet,
waar de bevoegdheden (Rules of Engagement) alleen bepaald kunnen worden aan de hand van de
grondslag van de operatie.
Inzet
1. Bij uitoefening van het statelijke recht op (collectieve) zelfverdediging, worden de bevoegdheden
bepaald door de reikwijdte van het statelijke recht op zelfverdediging, mensenrechten en het
humanitair oorlogsrecht.
Persoonsgegevens mogen worden verwerkt voor zover dat binnen de grenzen van het oorlogsrecht
en mensenrechten noodzakelijk is voor de uitoefening van zelfverdediging. De Regeling
Gegevensbescherming Militaire Operaties (RGMO) is van toepassing.
2. Bij inzet op grond van een mandaat van de VN-Veiligheidsraad, worden de bevoegdheden bepaald
door de autorisaties die de VN-Veiligheidsraad geeft.
a. Als er sprake is van een VN gemandateerde operatie, mogen persoonsgegevens worden verwerkt
voor zover dat binnen de grenzen van het VN mandaat en mensenrechten noodzakelijk is voor de
uitvoering van het mandaat. De Regeling Gegevensbescherming Militaire Operaties (RGMO) is van
toepassing.
b. Als er sprake is van een VN geleide operatie, vindt eventuele verwerking van persoonsgegevens
plaats onder verantwoordelijkheid van de VN en zijn de VN bepalingen daarop van toepassing.
3. Bij inzet op grond van toestemming van het gastland, is de inhoud van de toestemming bepalend voor
de toegestane activiteiten en de eventuele bevoegdheden om die activiteiten uit te mogen voeren.
De toestemming kan betrekking hebben op een andere grondslag (bijvoorbeeld collectieve
zelfverdediging), waarbij ook de bevoegdheden van die andere grondslag van toepassing zijn.
Toestemming van een gastland biedt echter geen zelfstandige grondslag voor bevoegdheden.
4. Bij inzet zonder specifieke juridische grondslag mogen alleen activiteiten uitgevoerd worden die geen
wettelijke bevoegdheid vereisen en waarbij geen (inter)nationaal recht geschonden wordt. Dat
betekent dat er op basis van dit soort inzet geen persoonsgegevens verwerkt mogen worden.
5. Bij inzet op grond van Militaire Bijstand (MB) of Militaire Steunverlening in het Openbaar Belang
(MSOB) heeft de krijgsmacht geen eigen bevoegdheden. Er mogen in dat geval alleen bevoegdheden
uitgeoefend worden van het ondersteunde civiele gezag. De uitoefening van die bevoegdheden vindt
plaats onder aansturing en verantwoordelijkheid van dat civiele gezag.
Als de MB/MSOB (mede) het verwerken van persoonsgegevens inhoudt, bijvoorbeeld door inzet van
een unmanned aerial system of observatieteam, geldt als uitgangspunt dat eventueel meegenomen
‘stand alone’ defensiesystemen ‘leeg’ ingebracht worden en ook ‘leeg’ weer mee teruggenomen
worden.
Als de MB/MSOB (mede) bestaat uit het verwerken van persoonsgegevens, dan moet een
verwerkersovereenkomst opgesteld worden. Daarnaast moet er speciale aandacht zijn voor de
inrichting van de aansturing en het toezicht door het civiele gezag op de verwerking van
persoonsgegevens om te voorkomen dat er feitelijk sprake is van aansturing en daarmee
verwerkingsverantwoordelijkheid bij Defensie.
Gelet op de aard van bijstand, is het niet mogelijk om ter voorbereiding op (mogelijke) bijstand of
MSOB een eigen informatiepositie op te bouwen vanuit activiteiten die een bevoegdheid vereisen.
Omdat er bij bijstand geen ‘eigen’ bevoegdheden uitgeoefend worden, maar bevoegdheden van het
ondersteunde civiele gezag uitgeoefend worden op last en onder toezicht van dat gezag, is dat per
definitie dan ook alleen maar mogelijk tijdens bijstand en niet ter voorbereiding daarop.
Pagina 3 van 8

DJZ - april 2021
Bij inzet voor structurele (nationale) taken zoals kustwacht, luchtruimbewaking en de bewakings- en
beveiligingstaak worden de bevoegdheden en een eventuele grondslag voor de verwerking van
persoonsgegevens –voor zover die grondslag zou bestaan– bepaald door de wettelijke bepaling waar
de betreffende taak op gebaseerd is.
Gereedstelling
6. Bij gereedstelling ten behoeve van een specifieke inzet zoals beschreven onder 1. en 2. is het mogelijk
om onder voorwaarden gebruik te maken van dezelfde bevoegdheden die van toepassing zijn op de
daadwerkelijke inzet. Die mogelijkheid bestaat niet automatisch en moet gezien worden als
onderdeel van die inzet, die tevens in opdracht en onder aansturing van de CDS plaatsvindt. Daar
waar het bij reach back gaat om ondersteuning van daadwerkelijke inzet vanuit Nederland, gaat het
in dit geval om een soort ‘reach forward’. Daarbij kan gedacht worden aan het verzamelen van
(operationele) inlichtingen die noodzakelijk zijn ter voorbereiding op de daadwerkelijke inzet. Een
belangrijke voorwaarde is dat er een grondslag is voor de geplande operatie en dat er een
regeringsbesluit is tot inzet. Dat betekent dat de periode waarin gebruik gemaakt kan worden van
deze mogelijkheid beperkt is.
7. Voor gereedstelling ten behoeve van algemene voorbereiding op inzet, waaronder opleiding en
training, heeft de krijgsmacht geen zelfstandige bevoegdheden. Opleiding en training kan wel een
(beoogd) neveneffect zijn van inzet waarvoor wel een taak en bevoegdheden zijn.
C. ACTIVITEITEN IN DE INFORMATIEOMGEVING
Activiteiten in de informatieomgeving kunnen ingrijpen in (grond)rechten van personen.
Dat is bijvoorbeeld het geval bij het verzamelen (en anderszins verwerken) van gegevens over personen
(persoonsgegevens), ook als dat gebeurt uit ‘open’ bronnen zoals sociale media en het internet (zie ook
hieronder, onder het kopje ‘OSINT’). Het verwerken van persoonsgegevens vereist een wettelijke
grondslag, omdat daarbij sprake is van een inmenging in het recht op eerbiediging en bescherming van
de persoonlijke levenssfeer. Dit vloeit voort uit het legaliteitsbeginsel, de grondwet en
mensenrechtenverdragen. De belangrijkste specifieke wetgeving die op de verwerking van
persoonsgegevens van toepassing is, is het gegevensbeschermingsrecht of de privacy wetgeving. Die
wetgeving bestaat uit mensenrechtelijke verdragsbepalingen, grondwettelijke bepalingen, de AVG
wetgeving en de EU 2016/680 richtlijnwetgeving (WPG en WJSG).
De krijgsmacht heeft geen algemene wettelijke grondslag (taak en bevoegdheid) om persoonsgegevens
te verzamelen, zoals de autoriteiten belast met opsporing en vervolging en de inlichtingen- en
veiligheidsdiensten dat wel hebben. Een zelfstandige grondslag (taak en bevoegdheid) voor de
krijgsmacht voor het verzamelen (en anderszins verwerken) van persoonsgegevens voor operationele
activiteiten (bijvoorbeeld ten behoeve van inlichtingen) kan daarom alleen bestaan indien eenheden zijn
ingezet op basis van een specifieke juridische grondslag. De grondslag voor de inzet bepaalt of en zo ja
welke bevoegdheden er uitgeoefend mogen worden.
Als er sprake is van inzet van inlichtingenmiddelen (anders dan in bijstand of MSOB), moeten daarvoor
uitvoeringsbepalingen geschreven worden op grond van de SG aanwijzing A974.
Voordat begonnen wordt met de verwerking van persoonsgegevens, of in geval van ontwikkeling van
een IT-dienst waarmee verwerking van persoonsgegevens is gemoeid of in geval van ontwikkeling van
beleid en regelgeving waaruit verwerkingen van persoonsgegevens voortvloeien, moet beoordeeld
worden of er een gegevensbeschermingseffectbeoordeling (DPIA) moet worden uitgevoerd zoals
beschreven in de Regeling AVG Defensie. Aan de hand van de DPIA kunnen de risico’s van de
voorgenomen verwerking van persoonsgegevens geëvalueerd worden. Met het resultaat van de
beoordeling dient rekening te worden gehouden bij het bepalen van de passende maatregelen die
moeten worden genomen om aan te tonen dat de AVG bij de verwerking van persoonsgegevens wordt
nageleefd.
Pagina 4 van 8

DJZ - april 2021

De Algemene Verordening Gegevensbescherming (AVG)
Voor de verwerking van persoonsgegevens in het kader van activiteiten van de krijgsmacht is de AVG
het belangrijkste rechtskader. Persoonsgegevens zijn alle informatie over een geïdentificeerde of
identificeerbare natuurlijke persoon. Als identificeerbaar wordt beschouwd een natuurlijke persoon die
direct of indirect kan worden geïdentificeerd. Voor de overheid wordt sneller aangenomen dat een
persoon indirect identificeerbaar is, dan voor andere organisaties of personen. Dat betekent dat er al
snel sprake zal zijn van persoonsgegevens, ook wanneer de identiteit van een persoon niet direct
bekend is.
De AVG vereist dat persoonsgegevens worden verwerkt op een rechtmatige, behoorlijke en
transparante wijze en alleen voor welbepaalde uitdrukkelijk omschreven gerechtvaardigde doeleinden.
Bij de beoordeling van de rechtmatigheid van de verwerking in de AVG komt het vereiste terug dat er
een wettelijke grondslag nodig is voor de verwerking van persoonsgegevens voor zover dat noodzakelijk
is voor de vervulling van een publieke taak. Omdat het aan de wetgever is om de rechtsgrond voor
persoonsgegevensverwerking door overheidsinstanties te creëren is het gebruik van de
verwerkingsgrondslag ‘gerechtvaardigd belang’ niet toegestaan voor overheidsinstanties in het kader
van de uitvoering van hun taken. Het gebruik van de verwerkingsgrondslag ‘toestemming’ kent
voorwaarden en beperkingen waardoor de mogelijkheid voor het gebruik door een overheidsinstantie
zeer beperkt is.
De aangewezen verwerkingsgrondslag voor de verwerking van persoonsgegevens ter uitoefening van
overheidstaken is ‘publieke taak’. De verwerking moet in deze gevallen altijd een grondslag hebben in
het recht van de Europese Unie of van Nederland waarin is omschreven wie deze taak uitvoert of aan
wie het openbaar gezag is opgedragen en waarin ook het doel van de verwerking bepaald moet zijn. Die
publieke taak moet voldoende specifiek beschreven zijn, maar biedt ook dan niet zonder meer een
grondslag voor de verwerking van persoonsgegevens. Die bevoegdheid moet namelijk berusten op een
naar behoren bekend gemaakt wettelijk voorschrift waaruit de burger met voldoende precisie kan
opmaken welke op zijn privéleven betrekking hebbende gegevens met het oog op de vervulling van een
bepaalde overheidstaak kunnen worden verzameld en vastgelegd, en onder welke voorwaarden die
gegevens met dat doel kunnen worden bewerkt, bewaard en gebruikt. De verwerkingsgrondslag
‘publieke taak’ is als zodanig dan ook geen zelfstandige rechtsbasis voor gegevensverwerking.
Zoals toegelicht, creëert de grondwettelijke doelbeschrijving van de krijgsmacht geen zelfstandig
werkende opdrachten of bevoegdheden voor de krijgsmacht. Bevoegdheden -waaronder het verwerken
van persoonsgegevens- moeten ontleend kunnen worden aan de grondslag voor een specifieke inzet.

D. AVG KADER
Hieronder worden enkele belangrijke aandachtspunten van de AVG besproken die van belang zijn bij
activiteiten in de informatieomgeving.
1) Vaststellen of verwerking noodzakelijk is
Naast het hebben van een rechtmatige verwerkingsgrondslag, moet de verwerking ook noodzakelijk zijn
voor het doel waarvoor verwerkt wordt. Als persoonsgegevens ‘bijvangst’ zijn, maar niet noodzakelijk
zijn voor het beoogde doel, is de verwerking van die persoonsgegevens niet toegestaan. In dat geval
moet bezien worden of de beoogde informatie ook zonder de ‘bijvangst’ van persoonsgegevens
verkregen kan worden. Daarbij moet opgemerkt worden dat het eerst verzamelen en daarna filteren,
verwijderen of anonimiseren ook al een verwerking is waarvoor een grondslag vereist is. Als het
noodzakelijk is om persoonsgegevens te verwerken, moet bezien worden of daar een
verwerkingsgrondslag voor is.
2) Bepalen of er een verwerkingsgrondslag is
Als de activiteiten waarvoor persoonsgegevens verzameld worden, plaatsvinden binnen het kader van
een lopende operatie (C.1, 2.a en 6), is de verwerkingsgrondslag ‘publieke taak’ (art 6.1.e AVG). Omdat
Pagina 5 van 8

DJZ - april 2021
de bevoegdheid voor de verwerking van persoonsgegevens in dat geval ontleend moet kunnen worden
aan de internationaalrechtelijke grondslag voor de operatie, moet de verwerking binnen het (nationale
en operatie) mandaat en de internationaalrechtelijke grondslag voor de operatie toegestaan zijn. Of dat
het geval is moet per operatie en per activiteit beoordeeld worden. Als dat het geval is, is op deze
verwerking van persoonsgegevens de Regeling Gegevensbescherming Militaire Operaties (RGMO) van
toepassing. Toestemming kan in dit geval geen verwerkingsgrondslag zijn, hoewel feitelijke
toestemming/medewerking van personen in sommige gevallen wel voorwaardelijk kan zijn om de
persoonsgegevens te verkrijgen (e.g. HUMINT, gedragsonderzoek).
Bij inzet op grond van toestemming van het gastland of bij inzet zonder specifieke juridische grondslag
(C.3 en 4) bestaat er geen internationaalrechtelijke grondslag waaraan een bevoegdheid ontleend kan
worden. De verwerkingsgrondslag ‘publieke taak’ is hierop dan ook niet van toepassing.
Ook de verwerkingsgrondslag ‘gerechtvaardigd belang’ is niet van toepassing. Omdat de wetgever – de
overheid – zelf de rechtsgrond voor verwerking van persoonsgegevens kan creëren, is het de overheid
niet toegestaan om deze verwerkingsgrondslag voor zichzelf te hanteren voor de verwerking van
persoonsgegevens door de overheid in het kader van de uitoefening van hun taken.
De enige andere verwerkingsgrond die dan mogelijk is, is ‘toestemming’ (art. 6.1.a AVG). Van
‘toestemming’ als verwerkingsgrondslag mag echter geen gebruik gemaakt worden als er sprake is van
een duidelijke onbalans in de verhouding tussen de betrokkene en de verwerkingsverantwoordelijke,
met name wanneer de verwerkingsverantwoordelijke een overheidsinstantie is, en dit het
onwaarschijnlijk maakt dat de toestemming in alle omstandigheden van die specifieke situatie vrijelijk is
verleend. Bij militaire inzet zal al snel sprake zijn van een dergelijke onbalans. Ook als ‘toestemming’ in
een specifiek geval wel een mogelijke verwerkingsgrondslag zou zijn, maken de aan deze
verwerkingsgrondslag verbonden voorwaarden (o.a. mogelijkheid van intrekking toestemming) dat deze
verwerkingsgrondslag in de meeste gevallen niet geschikt is voor militaire activiteiten in de
informatieomgeving.
De mogelijkheid om deels af wijken van de toepassing van de AVG op grond van de RGMO is bij inzet op
grond van toestemming van het gastland of bij inzet zonder specifieke juridische grondslag niet van
toepassing.
Als de activiteiten plaatsvinden op grond van Militaire Bijstand of Militaire Steunverlening in het
Openbaar Belang (C.5), treedt Defensie op als verwerker namens de verwerkingsverantwoordelijke
civiele autoriteit aan wie de bijstand of steunverlening wordt gegeven. Defensie heeft in dat geval geen
eigen verwerkingsgrondslag, maar oefent alleen bevoegdheden van de ondersteunde civiele autoriteit
uit. Voor een dergelijke verwerking, moet een verwerkersovereenkomst opgesteld worden en moeten
de categorieën van verwerkingsactiviteiten die ten behoeve van een verwerkingsverantwoordelijke zijn
verricht door Defensie worden opgenomen in het register van verwerkingsactiviteiten.
Voor gereedstelling ten behoeve van algemene voorbereiding op inzet (C.7) bestaan zoals gezegd geen
bevoegdheden en is een eventuele verwerkingsgrondslag voor gegevensverwerking van derden beperkt
tot ‘toestemming’ (art. 6.1.a AVG), met alle daaraan verbonden voorwaarden. In het kader van opleiding
en training kan ‘toestemming’ (van derden) een verwerkingsgrondslag zijn als sprake is van een daartoe
ingerichte en gecontroleerde setting, waarbij alle deelnemers bekend zijn met het oefenkarakter. Het
betrekken van (gegevens van) derden zonder hun uitdrukkelijke wetenschap en toestemming is niet
toegestaan. Bovendien mag er ook in dit geval geen sprake zijn een duidelijke onbalans in de verhouding
tussen de betrokkene en de verwerkingsverantwoordelijke, waar in de verhouding tussen overheid en
burger en tussen werkgever en werknemer in de meeste gevallen sprake van zal zijn. Dat betekent dat
‘toestemming’ van eigen personeel in de meeste gevallen geen verwerkingsgrondslag kan zijn.
3) Bijzondere persoonsgegevens
Bijzondere persoonsgegevens zijn gegevens waaruit ras of etnische afkomst, politieke opvattingen,
religieuze of levensbeschouwelijke overtuigingen, of het lidmaatschap van een vakbond blijken, en
Pagina 6 van 8

DJZ - april 2021
verwerking van genetische gegevens, biometrische gegevens met het oog op de unieke identificatie van
een persoon, of gegevens over gezondheid, of gegevens met betrekking tot iemands seksueel gedrag of
seksuele gerichtheid. De verwerking van deze gegevens is in beginsel verboden tenzij aan een wettelijke
uitzonderings- of doorbrekingsgrondslag kan worden voldaan. Een van de mogelijke uitzonderings- of
doorbrekingsgrondslagen zou kunnen worden gevonden in de uitdrukkelijke toestemming van de
betrokkene, met alle daaraan verbonden voorwaarden. Bijzondere persoonsgegevens mogen in het
kader van een lopende operatie (C.1, 2.a en 6) verwerkt worden binnen de grenzen en onder de
voorwaarden van de RGMO.
Als er bijzondere categorieën persoonsgegevens verwerkt worden buiten het kader of mandaat van een
operatie, moet daarvoor behalve een verwerkingsgrondslag ook een wettelijke uitzonderingsgrond van
toepassing zijn.
4) Verplichting om de verwerking van persoonsgegevens te registeren
Als er persoonsgegevens verwerkt worden, moeten voor het verplichte register van
verwerkingsactiviteiten (AVG- of RGMO meldingenregister Defensie) een aantal andere noodzakelijke
basisgegevens over de verwerking zijn geïnventariseerd en opgenomen. Dit betreft onder meer de
verwerkingsdoeleinden, de verwerkingsgrondslag, de bewaartermijnen, de categorieën van
persoonsgegevens en de categorieën van betrokkenen, een algemene en technische beschrijving van
het proces en van de te nemen beveiligingsmaatregelen.
5) DPIA bij gebruik van nieuwe technologieën en verwerkingen met een hoog risico voor persoonlijke
levenssfeer
Als er persoonsgegevens verwerkt gaan worden waarbij nieuwe technologieën (big data, AI, algoritmen,
geavanceerde sensoren) worden gebruikt of die gelet op de aard, omvang of context en de doeleinden
van de verwerking waarschijnlijk een hoog risico inhouden voor de persoonlijke levenssfeer van de
betrokkenen, dan dient er voorafgaande aan de aanvang van de verwerkingsactiviteiten een
gegevensbeschermingseffectbeoordeling (DPIA) te worden uitgevoerd.
Ook bij de ontwikkeling van een IT-dienst waarmee verwerking van persoonsgegevens is gemoeid die
waarschijnlijk een hoog risico inhoudt voor de rechten en vrijheden van betrokkenen of bij de
ontwikkeling van beleid en regelgeving waaruit verwerkingen van persoonsgegevens voortvloeien moet
een gegevensbeschermingseffectbeoordeling (DPIA) worden uitgevoerd, zoals beschreven in de
Regeling AVG Defensie.

E. ENKELE SPECIFIEKE ACTIVITEITEN
Een aantal specifieke activiteiten komen regelmatig aan de orde in het kader van vragen over
bevoegdheden en gegevensverwerking. Naast het algemene bevoegdhedenkader en het AVG kader zijn
er enkele specifieke aandachtspunten voor de onderstaande activiteiten.
OSINT
Het feit dat je als privépersoon vrijelijk mag zoeken in open bronnen betekent niet dat je dat als
overheid ook mag. Het verzamelen (en anderszins verwerken) door de overheid van persoonsgegevens
uit open bronnen zoals sociale media en het internet, is vrijwel altijd een inmenging in het recht op
eerbiediging van privéleven en vereist daarom een wettelijke grondslag.
De krijgsmacht heeft geen algemene wettelijke taak en bevoegdheid om persoonsgegevens uit open
bronnen te verzamelen zoals politie, justitie en de inlichtingen-en veiligheidsdiensten dat wel hebben.
Het gebruik van open bronnen voor de taakuitoefening waarbij geen persoonsgegevens verwerkt
worden, is toegestaan; daarvoor is geen specifieke bevoegdheid nodig.
Bij social media zal er vrijwel altijd sprake zijn van het verwerken van persoonsgegevens, bijvoorbeeld
indien een (letterlijke) tekst van een social media bericht wordt overgenomen. Ook het enkel opzoeken
van persoonsgegevens of het eerst verzamelen en daarna filteren, verwijderen of anonimiseren van
persoonsgegevens zijn verwerkingen waarvoor een grondslag vereist is.
Pagina 7 van 8

DJZ - april 2021
OSINT tijdens operaties
Mandaten voor operaties zijn vrijwel altijd geografisch afgebakend (land of operatiegebied) en scheppen
alleen bevoegdheden ten aanzien van een afgebakende groep personen (strijders, piraten). De aard van
OSINT maakt het voor bepaalde OSINT activiteiten lastig om die activiteiten tot het mandaat te
beperken, aangezien al snel gegevens van andere personen betrokken worden of die activiteiten effect
hebben buiten het operatiegebied.
Of, en zo ja, in welke mate en op welke wijze OSINT activiteiten mogelijk zijn binnen een specifiek
mandaat zal dan ook per geval nauwkeurig bezien moeten worden. Daarbij moet -zoals ook is
voorgeschreven in de SG aanwijzing A-974- afstemming met de MIVD plaatsvinden. Niet in de laatste
plaats omdat de MIVD specifieke wettelijke bevoegdheden heeft die niet beperkt zijn tot een specifiek
mandaat voor een operatie.
HUMINT en gedragsonderzoek
Als HUMINT of onderzoeksactiviteiten plaatsvinden binnen het kader van een lopende operatie, moeten
deze activiteiten binnen het (nationale en operatie) mandaat en de internationaalrechtelijke grondslag
voor de operatie toegestaan zijn. Of dat het geval is moet per operatie en per onderzoeksactiviteit
beoordeeld worden.
Als HUMINT of onderzoeksactiviteiten plaatsvinden buiten het kader van een lopende operatie, moet er
(formele) toestemming zijn van het gastland voor deze onderzoeksactiviteiten. Dit geldt ook voor
andere landen binnen het koninkrijk.
Afhankelijk van de aard en doelstelling van de onderzoeksactiviteiten, kan er sprake zijn van inzet van de
krijgsmacht. Als dat het geval is, moet voldaan worden aan de voorwaarden voor militaire inzet zonder
specifieke juridische grondslag.
Reach back
Reach back is het uitvoeren van operationele activiteiten in Nederland ter ondersteuning van inzet in
het buitenland. Deze activiteiten maken onderdeel uit van de inzet en moeten worden opgedragen en
aangestuurd door de CDS. Deze reach back activiteiten vallen onder hetzelfde rechtskader als de inzet
zelf en kunnen dus gebruik maken van dezelfde bevoegdheden en moeten ook aan dezelfde
voorwaarden daarvoor voldoen. Het gebruik van reach back in VN-geleide operaties is alleen mogelijk
met instemming van de VN.
F. STRAF- en BESTUURSRECHTELIJKE SANCTIES
Het niet naleven van de wettelijke bepalingen bij activiteiten in de informatieomgeving kent een aantal
specifieke sancties. Afhankelijk van de aard van de schending, kan er sprake zijn van strafrechtelijke
sancties (bijvoorbeeld bij computervredebreuk) of bestuursrechtelijke sancties (bijvoorbeeld bij niet
naleving van de AVG).
Zo is het zonder voorafgaande toestemming van de rechtmatige eigenaar van ICT-apparatuur verrichten
van activiteiten ten aanzien van die ICT-apparatuur, waaronder (niet uitputtend) het toegang
verschaffen, data of andere informatie vergaren, overnemen, wissen of wijzigen, in bijna alle gevallen
strafbaar. Onder de hier bedoelde activiteiten vallen in ieder geval hacking, doorbreken van
versleuteling, enz., het aantasten van opgeslagen data (verwijderen, vernietigen, wijzigen, enz.), het
ongemerkt opslaan of wegsluizen van data en het belemmeren van de verbindingen. De
wederrechtelijkheid en daarmee de strafbaarheid van deze handelingen vervalt indien er sprake is van
een voldoende bepaalde bevoegdheid.
De AVG kent een eigen sanctieregime. Op het niet voldoen aan sommige bepalingen van de AVG
(waaronder gegevensverwerking zonder verwerkingsgrondslag) staan aanzienlijke bestuurlijke boetes of
last onder dwangsom die kunnen worden opgelegd aan de verwerkingsverantwoordelijke, de Minister
van Defensie.
Bijlage: Vereenvoudigd schematisch overzicht
Pagina 8 van 8

Vereenvoudigd schematisch overzicht bij de Algemene juridische kaders voor activiteiten van de krijgsmacht in de informatieomgeving

1

2.a

Grondslag/
aard van de activiteit
Statelijk recht op
(collectieve)
zelfverdediging
VN-gemandateerde
operatie

2.b VN-geleide operatie

3

Instemming gastland

4
5

Inzet zonder specifieke
juridische grondslag
MB/MSOB

6

Specifieke gereedstelling

7

Algemene gereedstelling

Bevoegdheden

Nationale grondslag

AVG

Bijzonderheden

Oorlogsrecht +
Mensenrechten

Regeringsbesluit

SG A-974
evt. reachback

VN-mandaat +
Mensenrechten
(+ oorlogsrecht indien
gewapend conflict)
VN-mandaat +
Mensenrechten

Regeringsbesluit (art. 100)

AVG ‘publieke taak’ (art.
6.1.e )
RGMO
AVG ‘publieke taak’ (art.
6.1.e )
RGMO

Regeringsbesluit (art. 100)

n.v.t.

VN-regels
evt. reachback, mits
instemming VN

Regeringsbesluit
(evt. art. 100)

Afhankelijk van de aard
van de inzet/activiteit

Regeringsbesluit of
besluit Mindef
Politiewet, Wet
veiligheidsregio’s, MSOB,
etc.
Regeringsbesluit

evt. AVG ‘toestemming’
(art. 6.1.a)
Verwerkersovereenkomst
+ register

Afhankelijk van de aard
van de inzet/activiteit.
Toestemming gastland is
geen zelfstandige bron van
bevoegdheden
Geen
Van de ondersteunde
civiele autoriteit, geen
eigen bevoegdheid
Volgt bevoegdheden van
operatie

Geen

n.v.t.

Volgt operatie

evt. AVG ‘toestemming’
(art. 6.1.a)

SG A-974
evt. reachback

Alleen indien in opdracht
en onder aansturing van
de CDS; is onderdeel van
de operatie